NtCreateTimer2

Prototype

NTSTATUS NtCreateTimer2(
  PHANDLE            TimerHandle,
  PVOID              Reserved1,
  PVOID              Reserved2,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              Attributes,
  ACCESS_MASK        DesiredAccess
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 CC 00 00 00      mov eax, 0xCC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Introduit dans Windows 10 1507 comme backend noyau du sous-système **Threadpool Timer v2** (`CreateThreadpoolTimer` / `SetThreadpoolTimer`). Contrairement à `NtCreateTimer` historique, Timer2 fusionne en une seule étape de création ce qui demandait plusieurs flags et appels successifs : le masque `Attributes` déclare d'emblée si le timer est manual-reset et s'il requiert un tick *haute résolution* (sous-milliseconde) depuis la file haute résolution du noyau. En interne `ExCreateTimer2` alloue un `EX_TIMER` au lieu d'un `KTIMER` brut, est rattaché à `PspHostSiloGlobals`, et est piloté par le chemin de seconde génération `KiProcessExpiredTimerList`. Les deux slots `Reserved` sont des vestiges du design WDDM original qui exposait un callback de complétion côté noyau.

Usage courant par les malwares

La famille Timer2 est le **substrat moderne de sleep-mask** privilégié par les chercheurs en évasion ciblant Windows 10 1809+ : elle produit *moins* de télémétrie que le couple `NtCreateTimer` + `NtSetTimer` historique car l'objet `EX_TIMER` n'apparaît pas dans les mêmes chemins de création de handle Sysmon/ETW que certains EDR surveillent. Plusieurs variantes de **PoolParty** (SafeBreach, BlackHat EU 2023) — notamment celles qui pivotent sur les internals du threadpool — préfèrent `NtCreateTimer2` parce que l'objet `TpTimer` résultant vit entièrement dans l'état privé du threadpool, évitant l'énumération naïve des handles timer. La même primitive sous-tend la branche Timer2 des familles sleep-mask **Cronos** et **Zilean** (forks 2024 d'Ekko), qui utilisent le mode haute résolution pour raccourcir la fenêtre RWX chiffré de millisecondes à microsecondes.

Opportunités de détection

Aucun événement Sysmon pour la création Timer2. L'angle blue-team haute fidélité est ETW `Microsoft-Windows-Kernel-EventTracing` combiné à `Microsoft-Windows-Threading` (provider `{8a2b7ef8-7d7e-4f1a-a8b8-65b0e9eb...}`) avec stack-walk des appelants de `NtCreateTimer2` : l'usage légitime vient presque exclusivement de `ntdll!TppTimerCreate` invoqué par `kernel32!CreateThreadpoolTimer` — tout le reste (en particulier les appelants en mémoire RWX privée) est suspect. Les EDR matures détectent les sleep masks dérivés d'Ekko en snapshottant les listes `TP_TIMER` du threadpool lors de scans périodiques et en signalant les timers dont le pointeur `Callback` est en mémoire non-backed, quelle que soit la variante `NtCreateTimer*` qui les a produits.

Exemples de syscalls directs

; Direct syscall stub for NtCreateTimer2 (SSN 0xCC on Win11 24H2 / Server 2025)
NtCreateTimer2 PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0CCh         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtCreateTimer2 ENDP

// Single call sets up a high-res manual-reset Timer2 — Ekko-style designs
// previously needed NtCreateTimer + NtSetTimerEx for the same configuration.
#define TIMER_TYPE_MANUAL_RESET     0x1
#define TIMER_TYPE_HIGH_RESOLUTION  0x2

HANDLE hTimer = NULL;
NTSTATUS st = NtCreateTimer2(&hTimer,
                             NULL, NULL,
                             NULL,
                             TIMER_TYPE_MANUAL_RESET | TIMER_TYPE_HIGH_RESOLUTION,
                             TIMER_ALL_ACCESS);
if (!NT_SUCCESS(st)) return st;
// Arm with NtSetTimer2 next, then wait alertably; APC delivers the sleep-mask stage.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::{
    CreateThreadpoolTimer, PTP_TIMER, PTP_CALLBACK_INSTANCE,
};
use std::ptr::null_mut;

unsafe extern "system" fn tick(_inst: PTP_CALLBACK_INSTANCE, _ctx: *mut core::ffi::c_void, _t: PTP_TIMER) {}

// Underlying transition: ntdll!TppTimerCreate -> NtCreateTimer2(HIGH_RESOLUTION).
unsafe fn make() -> PTP_TIMER {
    CreateThreadpoolTimer(Some(tick), null_mut(), null_mut())
}

Mappings MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗